Архитектура

Схема компонентов

  • Каждый компонент кластеризуется.

  • Масштабирование осуществляется за счет добавления компонентов подключений.

  • Плановые работы выполняются без прерывания работы PAM посредством вывода из балансировки компонента подключений.

  • Взаимодействие между оркестратором, компонентом управления и компонентом подключения осуществляется по gRPC.

  • Взаимодействие с БД — по PSQL.

  • Взаимодействие с модулем управления секретами — по REST API.

Описание компонентов

Компонент

Назначение

Оркестратор

Orchestration

  • Предоставляет доступ к веб-интерфейсу BI.ZONE PAM, работе с объектами PAM и списку целевых систем

  • Управляет конфигурацией решения, активными и завершенными сессиями

  • Предоставляет API-интерфейс для внешних интеграций

Включает в себя модули:

  • web-auth — модуль аутентификации, Keycloak

  • web-portal — веб-портал BI.ZONE PAM, Nginx

  • web-api — API-интерфейс для интеграций, Go

Компонент управления

Control

  • Контролирует активные сессии на компоненте подключений

  • Читает и записывает данные о сессиях

  • Получает секреты из модуля управления секретами

Компонент подключений

Worker

  • Проксирует сессию по типу подключений (SSH, RDP и так далее)

  • Записывает действия пользователей в текстовом и видеоформатах

Кластер базы данных

PAM DB

Хранит конфигурацию BI.ZONE PAM и настройки разрешений для доступа к целевым ресурсам

Модуль управления секретами

Vault

Отвечает за хранение и ротацию секретов привилегированных учетных записей

Модуль аудита событий безопасности

Event Transmitter

Отвечает за сбор событий аудита безопасности, их чтение и передачу событий в Kafka

Схемы развертывания

Развертывание BI.ZONE PAM доступно в следующих конфигурациях:

  • All-in-One — однонодовая конфигурация, все компоненты в пределах одного docker compose на ВМ. Подходит для небольших и тестовых сценариев использования до 200 SSH сессий.

  • Multi-node — отказоустойчивая многонодовая конфигурация, масштабируемое решение с возможностью кластеризации. Подходит для различных сценариев использования с любым количеством сессий.